DNS over HTTPS（DoH）
把 DNS 查询包进 HTTPS 用 443 端口发出去，让网络看不到你访问的域名。
DNS over HTTPS（DoH，RFC 8484）把 DNS 查询加密在普通 HTTPS 请求里，发送到 TCP 443 端口。在网络观察者看来，这种流量和任何其他 HTTPS 流量一样——你查询的域名被藏在加密负载里。常见公共端点：Cloudflare、Google、Quad9，Firefox、Chrome、Edge、Safari 都原生支持。
DoH 可在浏览器侧（Firefox about:preferences → Network Settings → Enable DNS over HTTPS）或系统侧（Windows 设置 → 网络 → DNS，macOS 描述文件，Android 9+ 私人 DNS）配置。浏览器侧只保护该浏览器；系统侧覆盖所有应用但需要托管描述文件或第三方客户端。两者经常冲突——系统级 DoH 开启时，浏览器的设置通常被忽略。
要验证 DoH 是否生效，跑 IPCombo 的 DNS 小组件：同时查询一个 DoH 端点（Cloudflare）和一个普通 HTTPS 端点，比较两次响应的 IP。如果一致，DNS 走的就是预期通道。如果普通端点返回 ISP 解析器、DoH 端点返回 Cloudflare，那就是浏览器级 DoH 在工作、系统级 DNS 仍在泄漏。